干货｜整车控制器功能安全设计和研究.pdfVIP

干货｜整车控制器功能安全设计和研究

摘要

依据ISO26262标准分析了整车控制器的功能安全，由此确定了

整车控制器的安全目标ASIL等级。硬件部分，设计了基于异构双核的

整车控制器系统结构，并基于ASIL算法，计算了整车控制器的单点故

障指标和潜在多点故障指标，结果表明整车控制器的硬件功能安全等

级能够满足安全目标的要求。软件部分，实现了辅助控制器故障监测

和故障冗余的功能，试验表明辅助控制器能够监测主控制器的故障，

并且能够在主控制器失效的情况下代替其工作。

随着环境和能源问题的日益严重，混合动力汽车是未来的发展趋

势，而整车控制器是混合动力汽车的核心控制部件。国外在混合动力

整车控制器在开发领域日趋成熟，具有良好的控制策略和整车节能效

果，其控制器产品通过市场检验，证明了其可靠性。然而在国内，整

车控制领域与国外先进水平还有较大差距，目前许多开发都处于功能

性开发，在安全方面和节能效果方面都缺少足够的经验和技术。目前

ISO26262在欧美汽车工业方面已经开始被广泛采用，与国外相比，

国内汽车厂商对于ISO26262标准的理解与应用还比较缺少实践经

验。本文以提高整车控制器的ASIL等级为设计目标，对整车控制器

的硬件设计进行危害分析和风险评估，通过相应安全机制的设计，并

且加入了具有故障监测和故障冗余功能的辅助控制器，使其满足

ISO26262中规定的ASIL等级要求，这对于提高整车控制系统的功能

安全等级有着十分重要的意义。

ISO26262介绍

为了保证汽车电子电气的可靠性设计，在2011年发布了

ISO26262（道路车辆功能安全标准），ISO26262标准是源于工业功

能安全标准（ＩＥＣ６１５０８）［１］。目前许多汽车企业开始在

开发过程中采用ISO26262这个标准，ISO26262包括了汽车电子电

气开发中与安全相关的所有应用，制定了汽车整个生命周期中与安全

相关的所有活动，ISO26262从需求开始，当中包括概念设计、软硬

件设计，直至最后的生产、操作，都提出了相应的功能安全要求，其

覆盖了汽车整个生命周期，从而保证安全相关的电子产品的功能性失

效不会造成危险的发生。

ISO26262对汽车上与功能安全相关的电子电气系统开发提供了

详细的设计指导和管理指导，在标准中提出了汽车完整性等级

（ASIL）的概念，ASIL是评价汽车电子电气功能安全的重要指标

［２］。如表１所示，ASIL分为从A到D这4个等级，其中Ｄ等

级最高，Ａ等级最低，ＱＭ表示与安全无关。ASIL所对应的等级越

高，对系统功能安全的要求也越高，安全等级的定义是根据系统可能

存在和安全风险来评估的。等级是由三个因素来确定的：严重程度

（Ｓ）、发生概率（Ｅ）、和可控程度（Ｃ）。严重程度（Ｓ）：

指系统在功能失效的情况下，对驾驶人员、环境、和行人的伤害程度，

分为无伤害、轻伤、重伤但无生命危险、重伤并有可能危及生命，分

别对应Ｓ０、Ｓ１、Ｓ２、Ｓ３这４个等级。发生概率（Ｅ）：风

险在实际环境中发生的概率。分别对应Ｅ０～Ｅ４四个等级，其发生

概率依次递增。可控程度（Ｃ）：指发生事故的情况下，驾驶员对汽

车的控制程度，分为Ｃ０到Ｃ３四个等级，其中Ｃ０表示完全可以

可控，Ｃ１表示容易控制，Ｃ２表示基本可以控制，Ｃ３代表很难

控制。ISO26262通过以上３个参数指标来评定风险等级［３］。

整车控制器

2.1系统架构

本文研究的整车控制器是基于某串联式混合动力客车。整车控制

器通过采集模拟量和数字量信号对驾驶员意图进行解析，通过ＣＡ

Ｎ总线与发动机控制器、电机控制器、电池管理系统等进行通讯，从

而完成司机驾驶意图解释、整车能量管理、整车通讯网络管理、车辆

状态监测与信息显示、故障诊断与处理等功能［４］。如图１所示，

整车控制器选用诊断覆盖率较高的异构双处理器架构，主控制器选用

性能较强的飞思卡尔３２